Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon

Entradas populares

PostHeaderIcon Grupo ransomware RansomHouse intensifica ataques con doble extorsión

viernes, 19 de diciembre de 2025 | Publicado por el-brujo | Editar entrada

RansomHouse ha surgido como una amenaza significativa en el panorama del ransomware, operado por un grupo rastreado como Jolly Scorpius. Esta plataforma de ransomware como servicio combina el robo de datos con el cifrado, creando un doble punto de presión que obliga a las víctimas a tomar decisiones difíciles. Desde diciembre de 2021, el grupo ha atacado al menos a 123 organizaciones de sectores críticos




RansomHouse ha surgido como una amenaza significativa en el panorama del ransomware, operado por un grupo rastreado como Jolly Scorpius. Esta plataforma de ransomware como servicio combina el robo de datos con el cifrado, creando un punto de presión dual que obliga a las víctimas a tomar decisiones difíciles. Desde diciembre de 2021, el grupo ha atacado al menos a 123 organizaciones en sectores críticos, lo que ha resultado en importantes pérdidas financieras y graves violaciones de datos para organizaciones en los ámbitos de la atención médica, las finanzas, el transporte y el gobierno. La operación emplea una cadena de ataque sofisticada que separa las responsabilidades entre los operadores, los atacantes y los proveedores de infraestructura. Los atacantes suelen obtener el acceso inicial a través de correos electrónicos de spear-phishing o sistemas vulnerables, y luego establecen movimiento lateral dentro de las redes de las víctimas para identificar datos valiosos e infraestructura crítica.

 Una vez posicionados dentro del entorno, estos actores de amenazas despliegan herramientas especializadas para maximizar el daño en los sistemas virtualizados. Los analistas de Palo Alto Networks identificaron que RansomHouse se dirige específicamente a los hipervisores VMware ESXi porque comprometer esta infraestructura permite a los atacantes cifrar docenas o cientos de máquinas virtuales simultáneamente. Esta estrategia de focalización crea una interrupción operativa en cascada, lo que otorga a los atacantes el máximo apalancamiento durante las negociaciones de extorsión.

 


La maquinaria técnica detrás de RansomHouse

El conjunto de herramientas de RansomHouse consta de dos componentes modulares que trabajan en tándem. MrAgent funciona como la herramienta de gestión y despliegue, estableciendo conexiones persistentes con los servidores de comando y control de los atacantes mientras automatiza el despliegue del ransomware en los entornos ESXi. Este componente gestiona funciones críticas, incluida la identificación del host, la desactivación del firewall y la orquestación coordinada del cifrado. Mario, el componente de cifrado, representa el avance técnico más reciente de la operación.

 La versión actualizada de Mario introduce un proceso de cifrado de dos etapas utilizando tanto claves primarias como secundarias, lo que complica significativamente los esfuerzos de descifrado. En lugar de procesar archivos en secuencias lineales simples, la versión actualizada implementa un procesamiento por fragmentos con cálculos de tamaño dinámico.

 La variante original de Mario utilizaba un cifrado de paso único directo con longitudes de segmento fijas. La versión actualizada emplea técnicas de cifrado disperso que procesan solo bloques de archivos específicos en compensaciones calculadas, lo que dificulta considerablemente el análisis estático. Este enfoque mejorado procesa los archivos de forma no lineal utilizando complejas fórmulas matemáticas que determinan el orden de procesamiento en función del tamaño del archivo. Mario se dirige a extensiones de archivo específicas de la virtualización, incluidas VMDK, VMEM, VMSD, VMSN y VSWP, junto con los archivos de copia de seguridad de Veeam. El cifrador adjunta extensiones que contienen "mario" a los archivos cifrados, lo que da como resultado nombres de archivo como ".emario". 


 Después de completar el cifrado, Mario muestra estadísticas detalladas, incluido el recuento de archivos, los volúmenes de datos cifrados y los resultados del procesamiento. La evolución desde el cifrado simple hasta los enfoques sofisticados y de varias capas demuestra cómo los actores de ransomware mejoran continuamente sus capacidades técnicas, lo que requiere que los defensores adopten estrategias de detección y respuesta igualmente avanzadas.

Fuentes:
https://cybersecuritynews.com/ransomhouse-raas-service-upgraded-with-double-extortion-strategy-that-steals-and-encrypt-data/


Etiquetas: , , , , ,

0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.